Archiv: News

Datenschutz beginnt im Arbeitsalltag. Auch ein scheinbar einfacher Dienstplan enthält personenbezogene Daten. Welche Informationen zulässig sind und worauf Unternehmen beim Aushang oder der digitalen Bereitstellung achten sollten, lesen Sie in unserem heutigen Newsletter.

Dienstpläne richtig aushängen

Dienstpläne gehören in vielen Unternehmen und Betrieben zum Arbeitsalltag. Da sie Vornamen, Nachnamen, Arbeitszeiten und Schichteinteilungen enthalten, handelt es sich um personenbezogene Daten. Entsprechend müssen beim Aushang oder der digitalen Bereitstellung die Vorgaben der DSGVO beachtet werden.

Was gehört in einen Dienstplan?

Ein Dienstplan sollte sich auf die Informationen beschränken, die für die Organisation des Arbeitsablaufs erforderlich sind. Dazu zählen insbesondere:

• Vor- und Nachname der Beschäftigten
• Datum sowie Beginn und Ende der jeweiligen Arbeitszeit
• Gegebenenfalls notwendige Vertretungsregelungen

Welche Angaben sollten vermieden werden?

Nicht erforderlich, und damit in der Regel unzulässig, sind Informationen über den Grund einer Abwesenheit. Angaben wie „krank“, „Kind krank“, „Kur“, „Sonderurlaub“ oder auch „Urlaub“ haben auf einem öffentlich einsehbaren Dienstplan grundsätzlich nichts zu suchen (Kennzeichnung als „abwesend“ möglich). Hier gilt der Grundsatz der Datenminimierung.

Wer darf den Dienstplan sehen?

Ein Dienstplan sollte nur den Personen zugänglich sein, die ihn für ihre Arbeit benötigen. Aushänge in Bereichen, die auch Kunden, Besucher, Lieferanten, Patienten oder andere externe Personen einsehen können, sind zu vermeiden. Bei digitalen Dienstplänen sollten geeignete Zugriffsberechtigungen eingerichtet werden.

Mitbestimmung des Betriebsrats

Besteht ein Betriebsrat, sind bei der Einführung oder Änderung von Regelungen zur Dienstplanung regelmäßig auch dessen Mitbestimmungsrechte zu beachten. Dies gilt insbesondere dann, wenn der Dienstplan Auswirkungen auf die Verteilung der Arbeitszeit oder den Einsatz technischer Systeme zur Dienstplanung hat. Eine frühzeitige Einbindung des Betriebsrats kann helfen, rechtliche Unsicherheiten zu vermeiden

Vorsicht bei Fotos und Kopien

Fotografierte oder kopierte Dienstpläne lassen sich kaum kontrollieren und können schnell in falsche Hände geraten. Unternehmen und Betriebe sollten daher klare Regelungen zum Umgang mit Dienstplänen treffen und, wenn möglich, auf digitale Lösungen mit individuellen Zugriffsrechten setzen.

Praxistipp

Prüfen Sie regelmäßig, welche Informationen tatsächlich für die Dienstplanung erforderlich sind. Weniger Daten bedeuten nicht nur mehr Datenschutz, sondern reduzieren auch das Risiko von Datenschutzverstößen. Ein schlank gestalteter Dienstplan, der nur berechtigten Personen zugänglich ist, erfüllt in den meisten Fällen sowohl organisatorische als auch datenschutzrechtliche Anforderungen.

Je weniger personenbezogene Daten ein Dienstplan enthält und je kleiner der Kreis der Zugriffsberechtigten ist, desto geringer ist das datenschutzrechtliche Risiko. Mit unserer Checkliste können Sie schnell prüfen, ob Ihre Dienstplanung datenschutzfreundlich gestaltet ist und die organisatorischen Anforderungen mit den Vorgaben der DSGVO in Einklang bringt.

---

Checkliste: Datenschutzkonforme Dienstpläne

✓Zweck festgelegt 

• Ist klar definiert, warum der Dienstplan erstellt und veröffentlicht wird?

✓Datenminimierung beachten 

• Enthält der Dienstplan nur die für die Einsatzplanung erforderlichen Informationen
  (z. B. Name, Schicht, Arbeitszeit)? 
• Werden unnötige Angaben vermieden?

✓Keine sensiblen Abwesenheitsgründe

• Werden Gründe wie „krank“, „Kind krank“, „Kur“ oder ähnliche Angaben nicht aufgeführt? 
• Werden Abwesenheiten, sofern erforderlich, neutral gekennzeichnet (z. B. „abwesend“ oder durch eine interne Kennzeichnung)?

✓Zugriffsberechtigung geprüft

• Haben nur die Beschäftigten Zugriff, die den Dienstplan für ihre Arbeit benötigen? 
• Ist ausgeschlossen, dass Kunden, Besucher oder andere unbefugte Personen den Dienstplan einsehen können?

✓Sichere Bereitstellung

• Werden digitale Dienstpläne nur über geschützte Systeme mit passenden Berechtigungen bereitgestellt? 
• Werden Papierdienstpläne nach Ablauf ihrer Gültigkeit entfernt oder datenschutzgerecht entsorgt?

✓Umgang mit Fotos und Kopien geregelt

• Gibt es interne Regelungen zum Fotografieren oder Weitergeben von Dienstplänen? 
• Sind Beschäftigte für den vertraulichen Umgang mit den Informationen sensibilisiert?

✓Mitbestimmung berücksichtigt

• Wurde, sofern ein Betriebsrat besteht, geprüft, ob dessen Mitbestimmungsrechte nach § 87 BetrVG betroffen sind?

✓Verantwortlichkeiten festgelegt

• Ist klar geregelt, wer Dienstpläne erstellt, veröffentlicht, aktualisiert und wieder entfernt?

Für Rückfragen sowie zur weiteren Unterstützung stehen wir Ihnen selbstverständlich gerne zur Verfügung.

Die Sächsische Datenschutz- und Transparenzbeauftragte hat ihren neuen Newsletter 2/2026 veröffentlicht. Er informiert über aktuelle Entwicklungen, Praxisfragen und Veröffentlichungen rund um Datenschutz und Transparenz in Sachsen.

Die Themen im Überblick:

• Datenschutz in der kommunalpolitischen Gremienarbeit
  Im Fokus stehen häufige Fragen aus Stadt- und Gemeinderäten sowie Kreistagen – etwa zur Veröffentlichung von Sitzungsunterlagen, zu Video- und Tonmitschnitten sowie zu Informations- und Akteneinsichtsrechten. Gemeinderatsmitglieder benötigen zur Vorbereitung von Beratungen und Abstimmungen grundsätzlich umfassende Informationen.
• Einsichtnahme in die Behandlungsakte
  Patientinnen und Patienten können Abschriften ihrer Behandlungsakte verlangen. Die erste Kopie ist unentgeltlich zur Verfügung zu stellen. Grundlage ist der datenschutzrechtliche Auskunftsanspruch nach Art. 15 DSGVO. 
• Mieterselbstauskünfte
  Bei Mieterselbstauskünften kommt es darauf an, in welcher Phase sich das Mietinteresse befindet. Vermieterinnen und Vermieter dürfen nur die Angaben erheben, die für die jeweilige Vertragsanbahnung erforderlich sind. 
• Anlasslose Chatkontrolle
  Die Datenschutzkonferenz spricht sich gegen Pläne für eine anlasslose Chatkontrolle aus. Im Mittelpunkt der Kritik stehen flächendeckende Eingriffe in private Kommunikation, Risiken für Ende-zu-Ende-Verschlüsselung und unverhältnismäßige Grundrechtseingriffe. 
• Lichtbilder bei Ordnungswidrigkeitenanzeigen
  Ein Urteil des Oberlandesgerichts Dresden befasst sich mit der Nutzung von Fotos mit personenbezogenen Daten, etwa bei Anzeigen von Parkverstößen. Dabei spielen insbesondere die Anforderungen der DSGVO und der Grundsatz der Datenminimierung eine Rolle. 
• Mitteldeutscher Datenschutztag
  Beim 2. Mitteldeutschen Datenschutztag kamen Fachleute aus Behörden, Kommunen und Organisationen zusammen. Diskutiert wurden unter anderem KI, Verwaltungsdigitalisierung, Betroffenenrechte, Videoüberwachung, Messengerdienste und Beschäftigtendatenschutz. Der nächste Mitteldeutsche Datenschutztag ist für 2027 in Sachsen geplant. 
• Transparenzhinweise auf Behördenwebseiten
  Sächsische Behörden sollen auf ihren Internetseiten auf den Transparenzanspruch nach dem Sächsischen Transparenzgesetz hinweisen. Entsprechende Hinweise erleichtern Bürgerinnen und Bürgern den Zugang zu amtlichen Informationen. 
• Rekord bei Datenschutzbeschwerden
  2025 gingen 1.614 Datenschutzbeschwerden ein – ein neuer Höchststand und ein Anstieg um 29 Prozent gegenüber dem Vorjahr. Als möglicher Grund wird genannt, dass Bürgerinnen und Bürger mithilfe von KI-Angeboten leichter passende Ansprechpartner finden und Beschwerden formulieren können.

Weitere Informationen finden Sie im Newsletter der SDTB unter:
https://www.datenschutz.sachsen.de/download/Newsletter_02_2026.html

Die Bundessteuerberaterkammer (BStBK) hat Anfang 2026 ihren FAQ-Katalog zur digitalen Aufbewahrung aktualisiert. Der Katalog behandelt die handels- und steuerrechtlichen Aufbewahrungspflichten nach HGB, AO und GoBD und geht dabei auch auf datenschutzrechtliche Fragen ein. Für Unternehmen ist das wichtig, weil digitale Archivierung nicht nur technisch, sondern auch rechtlich sauber organisiert sein muss.

1. Aufbewahrungsfristen richtig einordnen

Die Aufbewahrungsfristen unterscheiden sich je nach Art der Unterlage. Jahresabschlüsse und Handelsbücher müssen grundsätzlich zehn Jahre aufbewahrt werden. Für Buchungsbelege und Rechnungen gilt seit 2025 eine Frist von acht Jahren. Sonstige Unterlagen sind in der Regel sechs Jahre aufzubewahren.

Die BStBK empfiehlt aus Gründen der Rechtssicherheit jedoch, häufig eine einheitliche Aufbewahrungsfrist von mindestens zehn Jahren anzuwenden. Hintergrund sind unter anderem steuerstrafrechtliche Entlastungsmöglichkeiten und Anforderungen aus dem Fördermittelrecht. Zudem können Anlauf- und Ablaufhemmungen nach §§ 170, 171 AO dazu führen, dass sich Fristen deutlich verlängern. 

2. Originalform beachten

Bei der digitalen Archivierung kommt es darauf an, in welcher Form ein Dokument ursprünglich erstellt wurde. Jahresabschlüsse, die von Anfang an elektronisch erstellt und qualifiziert elektronisch signiert wurden, sind als digitales Original aufzubewahren. 

Wurden Jahresabschlüsse dagegen in Papierform erstellt, muss das Papieroriginal erhalten bleiben. Ein ersetzendes Scannen ist hier nicht zulässig. Andere Unterlagen können hingegen GoBD-konform digitalisiert und elektronisch aufbewahrt werden. 

3. Elektronische Signaturen und Beweiskraft

Die eIDAS-Verordnung unterscheidet zwischen verschiedenen Arten elektronischer Signaturen. Diese haben unterschiedliche Beweiskraft. Besonders relevant ist die qualifizierte elektronische Signatur, da sie der handschriftlichen Unterschrift rechtlich gleichgestellt ist. 

Für Unternehmen bedeutet das: Bei digital erstellten Originaldokumenten sollte nachvollziehbar dokumentiert sein, welche Signaturform verwendet wurde und wie die Echtheit und Integrität des Dokuments erhalten bleiben.

4. Datenschutz bei Aufbewahrung und Löschung

Der FAQ-Katalog der BStBK weist ausdrücklich auf die Schnittstelle zur DSGVO hin. Das Prinzip der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO steht dabei den gesetzlichen Aufbewahrungspflichten gegenüber. Diese können eine Rechtsgrundlage für die Speicherung nach Art. 6 Abs. 1 lit. c DSGVO darstellen. 

Trotzdem sollten Daten nicht ungeprüft dauerhaft gespeichert werden. Vor Löschungen ist eine organisatorische Freigabe erforderlich. Automatisierte Löschungen allein nach Fristablauf sind ohne vorherige Prüfung problematisch.

5. Betriebsprüfung: Zugriff begrenzen 

Auch bei Betriebsprüfungen müssen Datenschutzanforderungen beachtet werden. Datenzugriffe sollten inhaltlich und zeitlich auf das notwendige Maß begrenzt werden.

Nicht prüfungsrelevante personenbezogene Daten sollten geschützt werden, etwa durch geeignete Zugriffsbeschränkungen oder digitales Schwärzen. So lässt sich vermeiden, dass mehr personenbezogene Informationen offengelegt werden, als für die Prüfung erforderlich ist.

6. Drittlandanbieter sorgfältig prüfen

Wer Steuerunterlagen bei externen Dienstleistern speichert oder verarbeitet, sollte besonders auf den Standort der Datenverarbeitung achten. Bei Anbietern außerhalb der EU beziehungsweise des EWR gelten die Anforderungen für Drittlandübermittlungen nach Kapitel 5 DSGVO.

Nach der Schrems-II-Entscheidung des EuGH bleibt eine Einzelfallprüfung erforderlich. Unternehmen müssen also prüfen, ob im konkreten Fall ein angemessenes Datenschutzniveau gewährleistet ist. 

Fazit: Die aktualisierten Hinweise der BStBK zeigen, Digitale Aufbewahrung von Steuerunterlagen erfordert mehr als ein elektronisches Archiv. Unternehmen sollten Aufbewahrungsfristen, Originalform, Signaturen, Löschprozesse, Zugriffsrechte und eingesetzte Dienstleister gemeinsam betrachten. So lassen sich steuerliche Pflichten und Datenschutzanforderungen rechtssicher miteinander verbinden. 

Download der FAQs der Bundessteuerberaterkammer:
https://kurzlinks.de/pvlu

Kundenkonten sind aus heutigen Webshops kaum noch wegzudenken: Sie vereinfachen Bestellungen, speichern Adress- und Zahlungsdaten und bieten zusätzliche Funktionen wie Wunschlisten oder Bestellhistorien. Gleichzeitig gehen sie jedoch mit umfangreichen datenschutzrechtlichen Anforderungen einher. 

Freiwilligkeit ist Pflicht 

Aktuelle Stellungnahmen der Datenschutzaufsichtsbehörden und des Europäischen Datenschutzausschusses machen deutlich: Ein Kundenkonto darf grundsätzlich keine Voraussetzung für eine Bestellung sein. Stattdessen sollte immer eine Gastbestellung ermöglicht werden, es sei denn, es liegt ein klar begründeter Ausnahmefall vor. 

Einwilligung als zentrale Grundlage 

Für die Einrichtung eines Kundenkontos ist in der Praxis häufig eine Einwilligung nach Art. 6 DSGVO erforderlich. Diese muss: 

• freiwillig erfolgen 
• transparent und verständlich sein 
• jederzeit widerrufen werden können (ohne Nachteile) 

Wichtig: Für zusätzliche Verarbeitungen, etwa Marketing, Profiling oder personalisierte Angebote, sind separate Einwilligungen notwendig. 

Registrierung datenschutzkonform gestalten 

Bereits im Anmeldeprozess werden häufig entscheidende Fehler gemacht. Achten Sie insbesondere auf:

• Datenminimierung (nur notwendige Pflichtfelder) 
• klare Information zu Zwecken und Datenverarbeitung 
• Hinweis auf das Widerrufsrecht 
• nachweisbare Einwilligung (z. B. Double-Opt-in) 

Verantwortung im laufenden Betrieb 

Auch nach der Registrierung gilt: 

• Daten sollten auf das notwendige Maß beschränkt bleiben 
• Nutzer müssen ihre Daten selbst verwalten, ändern und löschen können 
• Datenschutz durch Technikgestaltung („Privacy by Design“) und datenschutzfreundliche Voreinstellungen („Privacy by Default“) sind umzusetzen 

Besondere Vorsicht ist bei Zusatzfunktionen geboten:
Adressbücher oder ähnliche Features können zur unzulässigen Verarbeitung von Daten Dritter führen. Hier sind geeignete technische oder organisatorische Maßnahmen erforderlich. 

Löschung nicht vergessen

Ein oft unterschätzter Punkt: Kundenkonten dürfen nicht unbegrenzt bestehen bleiben. Neben gesetzlichen Aufbewahrungspflichten sollten Betreiber: 

• ein Löschkonzept für inaktive Konten definieren 
• klare Fristen festlegen (z. B. nach längerer Inaktivität) 
• eine einfache Kontolöschung für Nutzer ermöglichen 

Jetzt absichern:
Unsere Checkliste „Datenschutz im Webshop“ führt Sie Schritt für Schritt durch alle relevanten Anforderungen. Von der Registrierung bis zur Löschung von Kundenkonten. 

Nutzen Sie die Checkliste als praktische Grundlage, um Ihren Webshop datenschutzkonform und rechtssicher aufzustellen. Bei Fragen oder Unterstützungsbedarf stehen wir Ihnen gerne zur Verfügung.

Download der Checkliste:
https://www.datenschutz-prodatis.com/nl/Checkliste_Datenschutz_im_Webshop.docx

Die Sächsische Datenschutz- und Transparenzbeauftragte Dr. Juliane Hundert hat ihren Tätigkeitsbericht für den Zeitraum 1. Januar bis 31. Dezember 2025 veröffentlicht. Auch in diesem Jahr zeigt sich ein deutlicher Anstieg bei Beschwerden, Datenpannen und Beratungsanfragen. 

• Über 1.600 Eingaben – ein neuer Höchststand (+29 %). 
• Rund 900 Beratungsanfragen – deutlicher Anstieg (+22 %). 
• Mehr als 1.050 gemeldete Datenpannen – erneut ein Rekordwert. 
• Zunahme von Ordnungswidrigkeitenverfahren, insbesondere bei Videoüberwachung. 
• KI als Treiber: Chatbots erleichtern das Einreichen von Beschwerden und erhöhen die Sichtbarkeit der Aufsichtsbehörden. 
• Deutlicher Anstieg von Beschwerden zur privaten Videoüberwachung – häufig unzulässige Erfassung öffentlicher Bereiche. 
• Kritik an neuen Befugnissen im Polizeirecht, u. a. automatisierte Datenanalyse und biometrische Verfahren.

Der Tätigkeitsbericht ist thematisch übersichtlich aufgebaut und bietet eine praxisnahe Orientierung zu aktuellen Datenschutzfragen. Neben statistischen Auswertungen werden zahlreiche Einzelfälle sowie rechtliche Entwicklungen im Kontext von Digitalisierung und KI beleuchtet.

Hier finden Sie den Tätigkeitsbericht für 2025:
https://www.datenschutz.sachsen.de/download/taetigkeitsberichte/Taetigkeitsbericht_Datenschutz_2025.pdf

Hier finden Sie die Pressemitteilung zum Tätigkeitsbericht:
https://www.medienservice.sachsen.de/medien/news/1095838

Die automatisierte Umwandlung von Sprache in Text wird in Unternehmen immer häufiger eingesetzt etwa zur Dokumentation von Meetings, Kundengesprächen oder Interviews. Gleichzeitig wirft diese Praxis wichtige datenschutz- und strafrechtliche Fragen auf.

In ihrem „Kurzpapier Nr. 4 – Gesprächstranskription“ gibt die Gesellschaft für Datenschutz und Datensicherheit (GDD) einen Überblick über die rechtlichen Rahmenbedingungen für Gesprächstranskriptionen.

Transkription als Verarbeitung personenbezogener Daten

Bereits die Aufzeichnung eines Gesprächs stellt eine Verarbeitung personenbezogener Daten dar. Zusätzlich ist sie strafrechtlich relevant: Das unbefugte Aufnehmen des nichtöffentlich gesprochenen Wortes ist nach §201 Strafgesetzbuch (StGB) grundsätzlich verboten. Unternehmen müssen daher vor der Nutzung entsprechender Technologien klare rechtliche Voraussetzungen schaffen.

Einwilligung als zentrale Rechtsgrundlage

Nach Einschätzung der GDD ist in der Praxis meist die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO die tragfähigste Rechtsgrundlage. Diese muss freiwillig, informiert und jederzeit widerruflich sein. Im Beschäftigungskontext kann aufgrund möglicher Abhängigkeitsverhältnisse eine Betriebsvereinbarung eine geeignete Grundlage darstellen. Andere Rechtsgrundlagen, etwa Vertragserfüllung oder berechtigtes Interesse, kommen zwar grundsätzlich in Betracht, spielen in der Praxis jedoch häufig eine untergeordnete Rolle.

Transparenz und technische Schutzmaßnahmen

Unternehmen sind verpflichtet, Betroffene umfassend zu informieren, insbesondere über

• den Zweck der Transkription,
• den Umfang der Datenverarbeitung,
• die Speicherdauer sowie
• mögliche Empfänger der Daten.

Darüber hinaus sollten klare Löschkonzepte etabliert und geeignete technische und organisatorische Maßnahmen umgesetzt werden. Dazu zählen unter anderem Zugriffsbeschränkungen, Verschlüsselung sowie bei cloudbasierten Lösungen außerhalb der EU geeignete Garantien wie Standardvertragsklauseln.

Besonderheiten beim Einsatz von KI

Werden Transkriptionen durch KI-Systeme mit erweiterten Analysefunktionen (z. B. Emotionserkennung oder Gesprächsanalyse) ergänzt, können zusätzlich Anforderungen der EU-KI-Verordnung relevant werden.

Zusammenfassung

Für Unternehmen bleibt eine klar dokumentierte Einwilligung der betroffenen Personen der rechtlich sicherste Weg, um Gesprächstranskriptionen einzusetzen. Ergänzt durch transparente Information sowie geeignete organisatorische und technische Schutzmaßnahmen lässt sich die Technologie datenschutzkonform nutzen.

Download Kurzpapier Nr. 4 – Gesprächstranskription:
https://www.gdd.de/wp-content/uploads/2026/01/GDD-Kurzpapier-4-Gespraechstranskription.pdf

Die Nutzung von WhatsApp ist immer wieder ein Aspekt im Datenschutz, mit dem sich auch Gerichte auseinandersetzen müssen. In einem kürzlich gefällten Urteil des Landgerichts Berlin wurden der Weitergabe von Nutzerdaten des Messenger-Dienstes an den Mutterkonzern Meta Grenzen gesetzt. Auch die Praxis der Einwilligung wurde stark kritisiert.

Der Fall zeigt auch, wie langwierig Rechtsstreitigkeiten im digitalen Zeitalter sein können. Das Urteil ist noch nicht rechtskräftig, beide Seiten können Berufung einlegen. Dennoch sendet es ein Signal: Die Kontrolle über das eigene Adressbuch darf nicht durch pauschale Zustimmungsklicks ausgehebelt werden.

Lesen Sie mehr unter:
https://ogy.de/sa8h

In aktuellen Sicherheitsmeldungen wurde über eine Schwachstelle in TeamViewer informiert. Unter bestimmten Voraussetzungen kann diese in Mehrbenutzer-Umgebungen dazu führen, dass eine Remote-Verbindung zu einem bereits angemeldeten Benutzer aufgebaut wird, ohne dass dieser die Verbindung zuvor aktiv bestätigen muss. 

Betroffen sind TeamViewer Clients (Full und Host) unter Windows, macOS und Linux in Versionen vor 15.74.5. Der Hersteller hat die Schwachstelle inzwischen geschlossen und entsprechende Sicherheitsupdates bereitgestellt. Hinweise auf eine aktive Ausnutzung liegen derzeit nicht vor.

Wir empfehlen Ihnen dringend:

• TeamViewer Clients/Hosts kurzfristig zu aktualisieren (Sicherheitsupdates einspielen) 
• Bestehende TeamViewer-Konfigurationen zu überprüfen (insbesondere Zugriffseinstellungen und Bestätigungsmechanismen) 

Lesen Sie mehr unter:
https://ogy.de/gthj

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI) hat in einem Bericht vom 15. November 2025 bestätigt, dass Microsoft 365 unter bestimmten Voraussetzungen datenschutzkonform eingesetzt werden kann. Damit nimmt der HBDI nach früherer Kritik an den Microsoft-Vertragsunterlagen eine neu bewertete Position ein.

Ausgangspunkt war die Beanstandung der Datenschutzkonferenz (DSK) aus dem Jahr 2022, wonach das damalige Data Protection Addendum (DPA) nicht den Anforderungen des Art. 28 DSGVO entsprach. Inzwischen hat Microsoft sein Datenschutzkonzept nachgebessert: Das DPA wurde überarbeitet, die sogenannte „EU-Datengrenze“ soll die Verarbeitung personenbezogener Daten weitgehend auf den Europäischen Wirtschaftsraum beschränken, und ergänzende Dokumentationshilfen wie das M365-Kit unterstützen Verantwortliche bei der Erfüllung ihrer Datenschutz- und Nachweispflichten. Die Einschätzung des HBDI gilt jedoch nur unter klaren Rahmenbedingungen. Verantwortliche müssen das aktualisierte DPA abschließen und für eine datenschutzgerechte Konfiguration sowie eine rechtskonforme Nutzung sorgen. Zudem basiert der Bericht auf rechtlichen und organisatorischen Zusagen und nicht auf einer umfassenden technischen Prüfung aller M365-Dienste.

Für Unternehmen und Behörden bedeutet dies: Microsoft 365 kann bei Einhaltung der genannten Voraussetzungen zulässig eingesetzt werden. Eine pauschale DSGVO-Konformität für alle Nutzungsszenarien folgt daraus jedoch nicht. Eine eigenständige rechtliche Bewertung und eine konkrete Risikoanalyse bleiben weiterhin erforderlich.

Lesen Sie mehr unter:
https://ogy.de/2kob

Microsoft hat im November 2025 neue Dokumentations- und Compliance-Hilfen vorgestellt, die Unternehmen bei der datenschutzkonformen Nutzung von Microsoft 365, Copilot und weiteren Cloud- und KI-Diensten unterstützen sollen. Ziel ist es, insbesondere die Rechenschaftspflichten nach der DSGVO praxisnah zu erleichtern.

Kernbestandteile der neuen Materialien sind unter anderem ein sogenanntes M365-Kit mit Vorlagen und Mustertexten für zentrale DSGVO-Dokumentationen, etwa Verzeichnisse von Verarbeitungstätigkeiten, Rechtsgrundlagen oder Datenschutzhinweise. Ergänzt wird dies durch ein überarbeitetes Cloud Compendium, das häufige Datenschutz- und Compliance-Fragen zu Cloud-Diensten wie Copilot oder Azure aufgreift und die rechtlichen Bezüge transparent darstellt. Zudem stellt Microsoft anpassbare Vorlagen für Datenschutz-Folgenabschätzungen (DSFA) bereit, um risikobehaftete Verarbeitungsszenarien standardisiert zu bewerten und zu dokumentieren. 

Microsoft betont, die Materialien seien in Zusammenarbeit mit Datenschutzaufsichtsbehörden – unter anderem aus Bayern und Hessen – entwickelt worden. Sie sollen insbesondere im KI- und Cloud-Kontext dabei helfen, DSGVO-Konformität nachvollziehbar nachzuweisen.

Für Datenschutz-Verantwortliche bieten die neuen Tools eine hilfreiche Grundlage, um Dokumentations- und Nachweispflichten im Umgang mit Microsoft-Cloud-Diensten effizienter zu erfüllen. Sie können die Strukturierung von Verarbeitungstätigkeiten unterstützen, DSFA-Prozesse vereinheitlichen und die Argumentation gegenüber Aufsichtsbehörden erleichtern. Gleichwohl ersetzen die Vorlagen keine individuelle datenschutzrechtliche Bewertung der konkreten Einsatzszenarien, sondern sollten als Bestandteil einer umfassenden Cloud-Governance- und Compliance-Strategie verstanden werden.

Lesen Sie mehr unter:
https://ogy.de/x3p7